Cybersecurity is decennialang gebaseerd op de veronderstelling dat verdedigers voldoende tijd hadden om kwetsbaarheden te ontdekken, risico's te beoordelen, patches uit te rollen en te verifiëren dat kritieke systemen beschermd bleven. Deze aanname bepaalt nog steeds hoe organisaties beveiligingsprogramma's opzetten, hoe leveranciers producten ontwikkelen en hoe toezichthouders cyberweerbaarheid meten. Deze veronderstelling geldt echter niet meer.

De opkomst van kunstmatige intelligentie (AI) heeft geen geheel nieuwe categorie cyberrisico's gecreëerd, maar legt wel de beperkingen bloot van een beveiligingsmodel dat is ontworpen voor aanvallers die op menselijke snelheid opereren. AI kan kwetsbaarheden identificeren, werkende exploits genereren, aanvalsvlakken analyseren en zwakheden op grote schaal aan elkaar koppelen. Hierdoor wordt de tijd tussen blootstelling en exploitatie sterk verkort. Deze ontwikkeling verandert niet alleen cyberoperaties, maar ook de manier waarop overheden, toezichthouders en beveiligingsleiders naar weerbaarheid kijken.

Een duidelijk voorbeeld hiervan is de recente toezichtbrief van de Europese Centrale Bank (ECB). Op 7 juli 2026 heeft de ECB alle belangrijke instellingen onder haar toezicht opgedragen om uiterlijk 31 oktober 2026 een uitgebreid actieplan in te dienen dat ingaat op AI-gestuurde cybersecuritydreigingen. Hoewel deze brief specifiek gericht is op grote Europese banken, reikt de impact verder dan de financiële sector. De ECB benadrukt dat AI een structurele verandering in het dreigingslandschap betekent, niet slechts een tijdelijk fenomeen of risico verbonden aan één technologie.

De aanbevelingen van de ECB lijken op het eerste gezicht bekend: het beschermen van het aanvalsvlak, versnellen van kwetsbaarheids- en patchmanagement, verbeteren van monitoring en detectie, versterken van governance en training, en het moderniseren van infrastructuur. Deze disciplines zijn niet nieuw en zijn al onderdeel van bestaande kaders zoals DORA en toezichtsverwachtingen. Wat de ECB echter erkent, is dat het traditionele beveiligingsmodel is gebaseerd op een tijd waarin aanvallers op menselijke snelheid werkten, waardoor organisaties tijd hadden om risico's te beperken voordat deze werden uitgebuit. AI heeft dat voordeel weggenomen.

De brief van de ECB weerspiegelt een bredere verschuiving die al gaande is. De uitdaging is niet langer of organisaties zicht hebben op hun omgeving, maar of zij voldoende bewijs kunnen leveren om met vertrouwen beveiligingsbeslissingen te nemen voordat aanvallers toeslaan. Beveiliging is daarmee veranderd van een zichtbaarheid- naar een bewijsprobleem. Zichtbaarheid laat zien wat er is, bewijs toont aan wat echt telt. Dit onderscheid vormt de kern van de ECB-brief. Het doel is niet om meer beveiligingsactiviteiten uit te voeren, maar om ervoor te zorgen dat deze activiteiten daadwerkelijk leiden tot een significante vermindering van operationele risico's ondanks de sterk verkorte aanvalstijdlijnen.

Deze ontwikkeling begon niet met de ECB. De toezichtsbrief is onderdeel van een bredere trend die zich het afgelopen jaar heeft ontwikkeld binnen overheden, inlichtingendiensten en cybersecurityorganisaties. Zo gaf CISA vorige maand met Binding Operational Directive 26-04 ook een signaal af dat het beheer van kwetsbaarheden niet langer alleen als een technische taak wordt gezien, maar als een cruciaal onderdeel van risicomanagement.